PHP avaldas kaks kriitilist turvauuendust, mida nimetatakse kui PHP2Shell
PHP arendusmeeskond avaldas erakorralised turvauuendused kahele kriitilisele koodi kaugkäivitamise turvanõrkusele, mida tuntakse ühiselt nimega PHP2Shell. Turvanõrkused tähistega CVE-2026-109618 ja CVE-2026-109619 on hinnatud CVSS-skooriga 9,2/10 ning võimaldavad autentimata ründajal käivitada veebiserveris koodi PHP protsessi õigustes.
Administraatoritel soovitatakse uuendada PHP versioonidele 8.5.12, 8.4.27, 8.3.36 või 8.2.35 ning pärast uuendamist taaskäivitada PHP-d kasutavad teenused ja protsessid. PHP 8.1 ja vanemad versioonid ei saa enam tavapäraseid turvauuendusi, kuid nende vigade jaoks avaldati PHP 7.4, 8.0 ja 8.1 jaoks lähtekoodi tasemel parandused. Kui kohene uuendamine pole võimalik, saab riski ajutiselt vähendada, näiteks keelates session.upload_progress funktsiooni (session.upload_progress.enabled=0). Kirjutasime nimetatud turvanõrkustest ka RIA blogis (BC, HN, SA, RIA).
GitLabi kriitiline turvanõrkus võimaldab autentimata ründajal käivitada serveris suvalist koodi
GitLab avaldas 21. oktoobril turvaparandused kriitilisele turvanõrkusele tähisega CVE-2026-110264 (CVSS-skoor 10/10). Turvanõrkus võimaldab autentimata ründajal käivitada spetsiaalselt koostatud regulaaravaldise abil GitLabi serveris suvalist koodi. Viga mõjutab isehallatavaid GitLabi paigaldusi ning ulatub tagasi versioonini 7.0, mis avaldati 2014. aastal. Viga on paigatud versioonides 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ja 18.11.13. Turvaparandus on oluline ka neile, kes paigaldasid 12. oktoobril avaldatud uuendused, sest uus haavatavus mõjutab ka varasemalt parandatud versioone. Ajutist lahendust turvanõrkusele ei ole teada. Shadowserveri andmetel on enam kui 2700 GitLabi Community Edition seadet internetile avatud (HN, BC, GitLab, RIA).
Google Chrome’i uues versioonis on parandatud 353 turvanõrkust
Google avaldas Chrome’i versiooni 156.0.8078.47/.48 (Windows, Mac) ja 156.0.8078.47 Linuxi seadmetele. Parandatud turvanõrkuste seas on kuus kriitilist ja 61 suure mõjuga haavatavust. Enamus parandatud vigadest on hinnatud keskmise mõjuga turvaveaks. Ettevõte ei täpsustanud, kas turvanõrkusi on rünnete läbiviimisel proovitud ära kasutada. Soovitame uuendada Chrome’i esimesel võimalusel (SW, Chrome).
FortiSIEM-i kriitilisele turvanõrkusele avaldati avalik kontseptsiooni tõestus
Fortineti FortiSIEMi tarkvaras olnud kriitilisele turvanõrkusele tähisega CVE-2026-106173 avaldati toimiv kontseptsiooni tõestav ärakasutuskood (PoC). Turvanõrkuse CVSS-i skoor on 9,4/10 ning tegemist on veaga, mis võimaldab autentimata ründajal spetsiaalselt koostatud võrgupakettide abil käivitada süsteemis suvalisi käske või koodi. Viga mõjutab FortiSIEMi versiooni 7.5.0 ja on parandatud versioonis 7.5.1 või uuemates. FortiSIEM 7.6 ei ole selle vea suhtes haavatav. Kui uuendamine pole kohe võimalik, soovitatakse piirata ligipääsu TCP-pordile 27918 ja lubada ühendused üksnes usaldatud võrkudest (HN).
Oracle parandas oktoobri turvauuendusega üle 1200 turvanõrkuse
Oracle avaldas kriitiliste turvauuenduste paketi, millega paigatakse 1295 haavatavust, neist ligi sada on hinnatud kriitilise mõjuga turvaveaks. Kõige enam turvavigu ehk 206 haavatavust paigati Oracle Fusion Middleware tarkvaras. Lisaks parandati veel märkimisväärne hulk vigasid tarkvarades E-Business Suite, Siebel CRM, Communications, PeopleSoft, JD Edwards, MySQL, Java SE ja Supply Chain. Oracle soovitab klientidel kasutada toetatud tarkvaraversioone ning paigaldada turvaparandused viivitamata (SW).
Signali turvanõrkus võib võimaldada pahatahtlikul helistajal kõne lõpetamist takistada
Sõnumirakenduse Signal kõnede haldamise teegis RingRTC avastati kriitiline turvanõrkus tähisega CVE-2026-113380 (CVSS-skoor 9,3/10). Viga mõjutab RingRTC versioone, mis on vanemad kui 2.72.0, ning võimaldab pahatahtlikul kõnes osalejal kuulata või näha teise kasutaja tegevust ka pärast kõne lõpetamist. Turvanõrkuse tõttu ei pruugi kõne lõpetamise käsk õigel ajal töödeldud saada ning kasutaja võib arvata, et kõne on lõppenud, kuigi heli ja video edastamine jätkub. Turvanõrkus on parandatud RingRTC versioonis 2.72.0. Signali kasutajatel soovitatakse uuendada rakendus kõigis seadmetes uusimale saadaolevale versioonile, sealhulgas arvutites ja mobiilseadmetes. Hetkel teadaolevalt ei ole turvanõrkuse aktiivset ärakasutamist tuvastatud ning paranduse jõudmine Signali eri platvormidele võib versiooniti erineda (SW).
Cisco parandas 34 turvanõrkust erinevates toodetes
Cisco avaldas turvauuendused 34 turvanõrkusele, mis mõjutavad Expressway Series, IOS XR-i, Snort 3 ja Unified Communicationsi tooteid. Kõige kriitilisem on turvanõrkus tähisega CVE-2026-76466, mis mõjutab Expressway Series tarkvara ning võimaldab ründajal pääseda ligi andmebaasiteenusele ja käivitada operatsioonisüsteemis administraatoriõigustes suvalisi käske. Administraatoritel soovitatakse paigaldada uuendused esimesel võimalusel –
Expressway Seriesi kriitiline viga on parandatud versioonis X15.5.20 ja Snort 3 parandused sisalduvad versioonis 3.12.4.0. Cisco sõnul ei ole nende turvanõrkuste ärakasutamist rünnetes seni tuvastatud (SW).
Fortinet avaldas mitmele tootele turvauuendused, mille abil parandatakse tehisintellekti abil tuvastatud turvanõrkused
Fortinet avaldas turvauuendused mitmele tootele, sealhulgas FortiOS-ile, FortiManagerile, FortiAnalyzerile, FortiMailile ja FortiAuthenticatorile. Uuendused sisaldavad kriitiliste ja kõrge mõjuga turvanõrkuste parandusi, mis tuvastati ettevõtte tehisintellektil põhineva turvatestimise käigus. Administraatoritel soovitatakse uuendused esimesel võimalusel paigaldada, alustades internetist ligipääsetavate seadmetega. Parandatud versioonid on FortiOS-i puhul 8.0.2, 7.6.8, 7.4.13 ja 7.2.14; FortiManageri puhul 8.0.2, 7.6.8, 7.4.12 ja 7.2.13; FortiAnalyzeri puhul 8.0.2, 7.6.8, 7.4.12 ja 7.2.13. FortiMaili ja FortiAuthenticatori parandused on samuti avaldatud. Ettevõte plaanib turvanõrkuste üksikasjad avaldada 10. novembril (Fortinet).
Node.js parandas kriitilise Brotli teegi turvanõrkuse, mis võimaldab koodi kaugkäivitamist
Node.js avaldas turvauuendused kolmele versiooniharule (22.x, 24.x ja 26.x), millega parandati kümme turvanõrkust. Kõige tõsisem neist on turvanõrkus tähisega CVE-2026-111497, mis mõjutab Node.js-i kaasatud Brotli dekoodrit. Turvanõrkus tuleneb vigasest mälukäsitlusest, mis võib võimaldada koodi kaugkäivitamist. Lisaks parandati samas uuenduses turvanõrkused TLS-sertifikaatide kontrollimises ja DNS-i päringute töötlemises. Kasutajatel soovitatakse uuendada Node.js versioonile 22.23.4, 24.22.1 või 26.12.1. Node.js 20 ja vanemad versioonid on toe kaotanud ning neile parandust ei väljastata, mistõttu tuleb kasutusele võtta toetatud versioon (HN).
Atlassian parandas 176 turvaviga oma toodetes
Parandatud vigadest 162 on hinnatud suure ja 14 kriitilise mõjuga haavatavuseks. Turvavead mõjutavad Bamboo, Bitbucket, Confluence, Crowd, Fisheye/Crucible, Jira Software ja Jira Service Management tooteid. Mitmed vead võimaldavad ründajal teenuseid tõkestada ja pahaloomulist koodi käivitada. Hetkel teadaolevalt ei ole õnnestunud turvanõrkusi ära kasutada (SW).
Pythoni Pillow’ kriitiline turvanõrkus võimaldab koodi käivitada
Pilditöötlusteegis Pillow parandati turvanõrkus CVE-2026-112900 (CVSS-skoor 9,2/10), mis võimaldab EPS-faili töötlemisel serveris käske käivitada. Ründaja peab kontrollima nii faili nime kui ka täiendavat käske sisaldavat faili. Viga mõjutab Pillow’ versioone 2.6.0 kuni 12.3.0 ning sellele on avaldatud näidiskood. Teadaolevat aktiivset ärakasutamist ei ole mainitud. Soovitame uuendada Pillow versioonile 13.0.0 või uuemale (GitHub, THN).
CISA lisas uued turvanõrkused ära kasutatud turvanõrkuste andmebaasi
CISA lisas uued turvanõrkused enda hallatavasse ära kasutatavate turvanõrkuste andmebaasi. Soovitame mõjutatud toodete kasutajatel kindlasti kontrollida, et tarkvara oleks uuendatud uusimale versioonile ja lõppenud tööeaga tooted oleksid võrgust eemaldatud.
CVE-2026-106931 (CVSS-skoor 8,5/10) - EG Secure Solutions SiteGuard Server Editioni käsusüsti turvanõrkus.
CVE-2026-96656 (CVSS-skoor 8,6/10) - Plex Media Serveri failitee töötlemise turvanõrkus.
CVE-2026-96655 (CVSS-skoor 5,3/10) - Plex Media Serveri serveripoolsete päringute võltsimise turvanõrkus.
CVE-2026-96654 (CVSS-skoor 6,9/10) - Plex Media Serveri kodeeritud URI-de töötlemise turvanõrkus.
CVE-2026-96652 (CVSS-skoor 5,3/10) - Plex Media Serveri serveripoolsete päringute võltsimise turvanõrkus.
CVE-2026-110936 (CVSS-skoor 8,4/10) - Siemens Software Centeri DLL-failide laadimise turvanõrkus.
CVE-2026-114625 (CVSS-skoor 9,4/10) - Arista VeloCloud Orchestratori SQL-süsti turvanõrkus.
CVE-2026-110447 (CVSS-skoor 9,2/10) - Collabora Online’i sisseehitatud CODE Serveri käsusüsti turvanõrkus.
Loe lähemalt CISA hallatavast teadaolevalt ära kasutatavate turvanõrkuste kataloogist (CISA).
Artikli loomisel on kasutatud GPT-5.5 abi. Artikli illustratsioon on loodud tehisintellekti tarkvaraga ChatGPT.
Soovid RIA blogipostitusi ja uudiseid oma postkasti? Meie RSS-vood leiad siit!
Vanemad blogipostitused (2014–2024) leiad veebiarhiivist .
Loomise kuupäev: 26.10.2026
